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(57) Abstract: The invention relates to a control device (10) for a restraint system in a motor vehicle, comprising a safety switch 
(5) and also a watchdog which acts as a safety switch in the control device.Said safety switch monitors sensor signals which are 
transmitted to the processor (4) of the control device according to plausibility. If the safety switch detects a problem, the correspond- 
ing restraint system (9) is set free for a predetermined time via a time unit (6). Additional information from the sensor signals is 
used by the safety switch to determine how the sensor signals are to be processed. The safety switch is formed in such a way that it 
releases the restraining means which are correspondingly associated with the senses (1,2, 3). When said control device is actuated, 
the processor tests the safety switch by producing a test signal via the sensors. 
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BEST AVAILABLE COPY 



WO 02/42123 Al 




Veroffentlicht: Zur Erklarung der Zweibuchslaben-Codes und der anderen 

— mil internationalem Recherche nbericht Abkurzungen wird auf die Erklarungen ("Guidance Notes on 

Codes and Abbreviations") am Anfang jeder regularen Ausgabe 

der PCT-Gazette verwiesen. 



(57) Zusammenfassung: Es wird ein Steuergerat (10) fiir ein Riickhaltesystem in einem Kraftfahrzeug vorgeschlagen, wobei ein 
Sicherheitsschalter (5), der auch einen Watchdog enthalt, im Steuergerat die Funktion eines Sicherheitsschalters erfullt. Der Sicher- 
heitsschalter uberwacht Sensorsignale, die an den Prozessor (4) des Steuergerats ubertragen werden auf Plausibilitat hin und gibt 
nur, wenn der Sicherheitsschalter selbst einen Auslosefall erkennt, entsprechende Ruckhaltemittel (9) uber eine Zeiteinheit (6) fur 
eine vorgegebene Zeit frei. Anhand von Zusatzinformationen aus den Sensorsignalen entnimmt der Sicherheitsschalter, wie die Sen- 
sorsignale zu verarbeiten sind. Der Sicherheitsschalter ist so ausgebildet, dass er den Sensoren (i, 2, 3) entsprechend zugeordnete 
Riickhaltemitte] freigibt. Beim Einschalten des Steuergerats fuhrt der Prozessor einen Test des Sicherheitsschalters durch Erzeugen 
eines Testsignals durch die Sensoren durch. 
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Steuergerat fur ein Riickhaltesystem in einem Kraftfahrzeug 
Stand der Technik 

Die Erfindung geht aus von einem Steuergerat fur ein 
Ruckhaltesystem in einem Kraftfahrzeug nach der Gattung des 
unabhangigen Patentanspruchs . 

Es sind bereits Airbag-Steuersysteme bekannt, in denen ein 
Mikrocontroller als Prozessor von einem Watchdog auf seine 
Funktion hin tiberwacht wird. Der Prozessor ist selbst mit 
verschiedenen Sensoren im Kraftfahrzeug oder im Steuergerat 
verbunden, wobei die Sensoren einen Aufprall sensieren. 
Teilweise werden in Airbag-Steuergeraten mechanische 
Sicherheitsschalter verwendet, bei denen ein Ringmagnet bei 
negativen Beschleunigungen gegen eine Feder verschoben wird 
und ein Reed-Kontakt dann schlieftt. Der Reed-Kontakt gibt 
dann die dieser Verzogerungsrichtung zugeordneten 
Ruckhaltemittel entweder direkt uber ein Freigabesignal an 
die Endstufen oder indirekt uber den Mikrocontroller frei. 
Teilweise wird durch das erzeugte Signal auch ein im 
Hauptziindstrompfad liegender Sicherheitshalbleiter 
freigegeben, der die bendtigten Zundstrome zu den Endstufen 
fliefien lasst. 
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Vorteile der Erfindung 

Das erfindungsgemalle Steuergerat fur ein Ruckhaltesystem in 
einem Kraf tfahrzeug mit den Merkmalen des unabhangigen 
5 Patentanspruchs hat demgegenuber den Vorteil, dass ein 

Sicherheitsschalter vorhanden ist, der auch einen Watchdog 
aufweist. Die Funktionalitat des Sicherheitsschalters wird 
ermoglicht, indem der Sicherheitsschalter die Sensorsignale, 
die von den Sensoren zu dem Prozessor tibertragen werden, 

10 selbststandig uberpriift und in Abhangigkeit vom Ergebnis der 

Uberpriifung iiber eine Zeiteinheit Endstufen fur Zundkreise 
freigibt. Dabei wird ein Sicherheitsschalter realisiert, der 
Sensorsignale aus jeder sensierten Richtung auswertet, womit 
ein multidirektionaler Sicherheitsschalter vorliegt. Damit 

15 ist eine zusatzliche Absicherung, die unabhangig von der 

Funktionalitat des Mikroprozessors ist, vorhanden. Dies 
erhoht die Sicherheit gegenliber einer ungewollten Auslosung 
durch einen defekten Prozessor. Daruber hinaus weist der 
Sicherheitsschalter entsprechende Hardware auf, um 

20 individuelle Algorithmen und Schwellen fur die 

unterschiedlichen Sensorsignale einzusetzen. Es liegt damit 
auch eine redundante Hardware vor, urn eine ungewollte 
Auslosung von Ruckhaltemitteln zu vermeiden. 

25 Durch die in den abhangigen Anspriichen aufgefiihrten 

Mafinahinen und Weiterbildungen sind vorteilhafte 
Verbesserungen des im unabhangigen Patentanspruch 
angegebenen Steuergerats fur ein Ruckhaltesystem in einem 
Kraf tfahrzeug moglich. 

30 

Besonders vorteilhaft ist, dass der Sicherheitsschalter den 
Sensorsignalen Zusatzinformationen entnimmt und in 
Abhangigkeit von diesen Zusatzinformationen die 
Sensorsignale verarbeitet. Diese Zusatzinformationen sind 
35 hier Statusinformationen des Sensors, z.B. laufender Test 
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Oder Fehler erkannt und auch kanalspezif ische Inf ormationen, 
beispielsweise eine Kennung, die die Sensorsignale in 
ausloserelevant und nicht ausloserelevant einteilt und bei 
vorliegender Ausloserelevanz noch zusatzlich die Art der 
Sighalquelle, also ob es sich von um einen 
Frontaufprallsensor, einen Seitenaufprallsensor oder 
Beschleunigungssignale von Satelliten, das sind im Fahrzeug 
verteilte Sensoren, handelt. In Abhangigkeit von dieser 
Zusatzinformation verwendet dann der Sicherheitsschalter den 
entsprechenden Hardware-Algorithmus und die entsprechenden 
Schwellen, um diese Sensorsignale dann korrekt zu 
verarbeiten. 

Weiterhin ist es von Vorteil, dass der Sicherheitsschalter 
in Abhangigkeit von den Sensor-Zusatzinf ormationen den 
entsprechenden Algorithmus aus der eigenen Hardware ladt und - 
entsprechende Schwellwerte verwendet, um die Sensorsignale 
zu verarbeiten. In Abhangigkeit von diesen 
Zusatzinformationen erfolgt dann auch gegebenenfalls eine 
Freigabe der Endstufen. Mit den Zusatzinformationen ist es 
danach moglich, die Verarbeitung der Sensorsignale zu 
steuern. 

Daruber hinaus ist es von Vorteil, dass der 
Sicherheitsschalter nur den jeweils den Sensoren 
zugeordneten Endstufen eine Freigabe erteilt. Detektiert 
also ein Seitenaufprallsensor ein Sensorsignal, dann wird 
nur der Seitenaufprallschutz freigegeben. 

Daruber hinaus ist es von Vorteil, dass beim Starten des 
Fahrzeugs das Steuergerat eingeschaltet und dabei ein Test 
des erfindungsgemaften Sicherheitsschalters durch Erzeugen 
eines Testsignals der Sensoren durchgefuhrt wird. Dadurch 
iiberwacht der Prozessor, ob der Sicherheitsschalter das 
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Uberwachen der Sensorsignale erfullen kann und entsprechende 
Freigabesignale an die Endstufen ubertragt. 

Schlieiilich ist es auch von Vorteil, dass der 
Sicherheitsschalter mit den Endstufen liber zwei 
Freigabeleitungen verbunden ist, wobei eine der 
Freigabeleitungen fur die Plusendstufen und eine weitere 
Freigabeleitung an die Minusendstuf en angeschlossen ist, so 
dass uber diese beiden Leitungen die gesamten Endstufen 
sperrbar bzw. freizugeben sind. Mit weiteren 
Gruppenleitungen ist der Sicherheitsschalter mit den 
Endstufen der einzelnen Zundmittelgruppen verbindbar, so 
dass damit selektiv Zundmittel freigebbar sind wie 
beispielsweise bei einem Frontalaufprall die Frontairbags . 

Zeichnung 

Ausftihrungsbeispiele der Erfindung sind in der Zeichnung 
dargestellt und werden in der nachf olgenden Beschreibung 
naher erlautert. Es zeigt Figur 1 ein Blockschaltbild des 
erfindungsgemalien Steuergerats und Figur 2 einen Rahmen der 
Prozessor-Sensor-Kommunikation. 

Beschreibung 

Durch den zunehmenden Einsatz von immer mehr 
Ruckhaltemitteln, das sind insbesondere Airbags in 
Kraftfahrzeugen, ist die situationsgerechte Auslosung von 
diesen Ruckhaltemitteln zu gewahrleisten. Fatal ist eine 
Fehlauslosung von Ruckhaltemitteln, die einerseits zu 
schweren Verletzungen fuhren kann und andererseits Kosten 
fur den Fahrzeughalter unnotigerweise verursacht. 
Erf indungsgemaft wird daher ein Steuergerat fur ein 
Ruckhaltesystem in einem Kraf tfahrzeug vorzuschlagen, das 
einen Sicherheitsschalter, der auch einen Watchdog 
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beinhaltet, aufweist, der neben der Uberwachung des 
Prozessors auch die Sensorwerte der einzelnen Crashsensoren 
auf Plausibilitat uberpriift und nur, wenn der 
Sicherheitsschalter selbst erkennt, dass ein Auslosefall 
5 vorliegt, die entsprechenden Endstufen der anzusteuernden 

Ziindkreise freigibt. Dabei ist insbesondere vorgesehen, dass 
der Sicherheitsschalter selektiv die den einzelnen Sensoren 
zugeordneten Rtickhaltemittelgruppen freigibt. Die 
Ruckhaltemittel wie Airbags werden von anzusteuernden 

10 Zundkreisen aus gezundet, die wiederum von Endstufen aus 

betrieben werden, wobei die Endstufen von einer 
Ziindkreisansteuerung, das ist ein integrierter Schaltkreis, 
angesteuert werden. Die Ziindkreisansteuerung ist wiederum 
mit dem Prozessor und hier erf indungsgemafi auch mit dem 

15 Sicherheitsschalter verbunden, urn nur in einem erkannten 

Auslosefall die entsprechenden Endstufen freizugeben. 

In Figur 1 ist als Blockschaltbild das erf indungsgemafle 
Steuergerat dargestellt, das mit Sensoren und 

20 Ruckhaltemitteln verbunden ist. Ein Beschleunigungssensor 1 

in Fahrtrichtung ist an einen ersten Datenein-/-ausgang 
eines Prozessors 4, der hier ein Mikrocontroller ist, 
angeschlossen. Der Beschleunigungssensor 1 weist Elektronik 
auf, die die Meftsignale verstarkt und digitalisiert . 

25 Weiterhin fiigt diese Elektronik Zusatzinf ormationen hinzu, 

ob ein Fehler vorliegt oder ob es sich um einen laufenden 
Test handelt. Eine weitere kanalspezif ische Information ist 
beispielsweise eine Safety-ID, die die Sensorsignale in 
ausloserelevant und nicht-ausloserelevant klassif iziert und 

30 im Falle der Ausloserelevanz die Art der Signalquelle 

angibt, also ob es sich um einen Front-, Seiten- oder 
Satellitensensor handelt. 



An einen zweiten Datenein-/-ausgang des Prozessors 4 ist ein 
35 Seitenaufprallsensor 2 auf der rechten Beifahrertur 
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angeschlossen. Auf diesem Seitenaufprallsensor 2 weist eine 
dem Sensor 1 entsprechende Elektronik zur Auswertung und 
Verarbeitung der Signale auf. Dies gilt auch fur einen 
Sensor 3, der fur die Seitenaufprallsensierung auf der 
5 Fahrerseite verwendet wird. Der Sensor 3 ist an den dritten 

Datenein-/-ausgang des Prozessors 4 angeschlossen. Die 
Leitungen, die die Sensoren 1, 2 und 3 mit dem Prozessor 4 
verbinden, werden jeweils angezapft, urn diese Signale auch 
an den ersten, zweiten und dritten Dateneingang eines 
10 Sicherheitsschalters 5 zu Ubertragen. 



Uber einen Datenein-/-ausgang ist der Watchdog ira 
Sicherheitsschalter 5 mit einem vierten Datenein-/-ausgang 
des Prozessors 4 verbunden, urn die Funktionsf ahigkeit des 
15 Prozessors 4 zu uberpriifen. Dies kann beispielsweise durch 

Testfragen vorgenommen werden, die an den Prozessor 4 
ubertragen werden und die der Prozessor 4 entsprechend 
beantworten mufi, um seine Funktionsf ahigkeit zu beweisen. 

20 Uber einen Datenausgang mit mehreren Leitungen ist der 

Sicherheitsschalter 5 an eine Zeiteinheit 6 angeschlossen. 
Die Zeiteinheit 6 stellt einen Teil des Sicherheitsschalters 
dar, im Blockschaltbild wird hier eine logische Trennung 
vollzogen. Die Zeiteinheit 6 ist uber zwei DatenausgSnge mit 

25 jeweils mehreren Leitungen an eine Ziindkreisansteuerung 7 

angeschlossen. Der Prozessor 4 ist liber einen funften 
Datenein-/-ausgang an einen Datenein-/-ausgang der 
Ziindkreisansteuerung 7 angeschlossen. Die 
Ziindkreisansteuerung 7 ist iiber einen Datenausgang, der 

3 0 ebenfalls mehrere Leitungen auf weist an die Endstufen 8 

angeschlossen, die wiederum iiber einen Ausgang an die 
Ruckhaltemittel mit Ziindkreisen 9 angeschlossen sind. 



Der Prozessor 4, der Sicherheitsschalter 5 mit^er 
35 Zeiteinheit 6, die Ziindkreisansteuerung 1, die Endstufen 8 
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und der Sensor 1 sind hier die Komponenten des Steuergerats 
10. Daruber hinaus ist es moglich, dass das Steuergerat 10 
eine eigene Sensorplattform aufweist, urn entsprechende 
Sensorsignale von Satellitensensoren, das sind im Fahrzeug 
verteilte Sensoren, zu verif izieren, also eine 
Plausibilitatsuntersuchung durchzufuhren. Das Steuergerat 10 
kann weiterhin an Fahrzeugbusse angeschlossen sein, urn Daten 
zu empfangen und zu versenden, beispielsweise um Sensordaten 
anderen Fahrzeugsystemen zuganglich zu machen. 

Der Sicherheitsschalter 5 fuhrt nun eine 

Plausibilitatsuntersuchung der Sensorsignale der Sensoren 1, 
2 und 3. durch und gibt uber die Zeiteinheit 6 und die 
Ziindkreisansteuerung 7 Endstufen frei, sofern die 
Sensorsignale mit Zusatzinformationen einen Auslosefall 
anzeigen und der Sicherheitsschalter 5 diesen Auslosefall 
selbst anhand der Sensorsignale mittels berechneter 
Algorithmen erkennt. Dazu weist der Sicherheitsschalter 5 
eine eigene Hardware auf, in der die entsprechenden 
Algorithmen und auch die entsprechenden Schwellen abgelegt 
sind, um die einzelnen Sensorsignale der Sensoren 1, 2 und 3 
jeweils zu verarbeiten. Dabei ist es unerheblich, aus 
welcher Richtung die Sensorsignale koinmen. Der 
Sicherheitsschalter 5 ist derart ausgebildet, dass er die 
Sensorsignale, unabhangig von welchem Sensor sie kommen, 
verarbeiten kann und auf Auslosefalle untersuchen kann. 
Damit ist vorteilhaf terweise ein multidirektionaler 
elektronischer Sicherheitsschalter realisiert. Die 
Schwellen, die der Sicherheitsschalter 5 untersucht, 
entscheiden daher, ob ein Sensorsignal ausl6serelevant ist, 
also ein Crashfall vorliegt oder nicht. Ist das nicht der 
Fall, dann laiit der Sicherheitsschalter 5 die entsprechenden 
Endstufen gesperrt und der Prozessor 4 kann dies auch nicht 
uberstimmen. Erkennt jedoch der Sicherheitsschalter 5 einen 
Auslosefall, dann werden uber die Zeiteinheit 6 fur eine 
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vorgegebene Zeit diese Endstufen fur die entsprechenden 
Riickhaltemittel durch die Zundkreisansteuerung 7 
freigegeben. Der Prozessor 4 kann dann nach seiner eigenen . 
Auswertung diese Endstufen aktivieren. 

Bei dem Starten des Kraftf ahrzeugs wird das Steuergerat 10 
eingeschaltet, und es erfolgt eine Priifung der einzelnen 
ICs, wozu auch der Sicherheitsschalter 5, der auch einen 
Watchdog aufweist, gehdrt. Zur Priifung der hier 
beschriebenen Funktionalitat des Sicherheitsschalters 5, der 
daneben auch den Prozessor 4 laufend uberwacht, wird ein 
Sensortest herangezogen. In den Sensoren 1, 2 und 3 wird 
eine Testantwort, also ein kiinstliches Sensorsignal erzeugt, 
das vom Prozessor 4 eingelesen wird. Diese Testantwort ist 
so beschaffen, so dass sie, durch den Sicherheitsschalter 5 
ausgewertet, zu einer Freigabe der Plusendstuf en, die die 
Endstufen 8 aufweisen, fiihrt. Der Sicherheitsschalter 5 
liest diese Daten mit, urn seine Uberwachungsfunktion zu 
erfiillen, und bewertet sie. Der Prozessor 4 uberwacht dabei 
die Datenausgange der Zeiteinheit 6 zur Zundkreisansteuerung 
7 und kann an der Anderung der Signalpegel die richtige 
Funktion des Sicherheitsschalters 5erkennen. 

Da diese Sensortestantworten so grofi gewahlt sein, dass ein 
Crashfall signalisiert wird, wird es zu einer Freigabe der 
Endstufen 8 kommen. Diese Freigabe wird vom Prozessor 4 
uberwacht. Damit komitit es immer zu einem Test des 
Sicherheitsschalters 5, wenn die Sensoren 1, 2 und 3 selbst 
getestet werden. Zur Absicherung gegen fehlerhaftes Auslosen 
der Endstufen 8 wahrend dem Sensortest wertet der 
Sicherheitsschalter 5 sowohl die Testauf f orderung vom 
Prozessor 4 an die Sensoren 1, 2 und 3 aus, die zur Sperrung 
der Minusendstufen, die die Endstufen 8 aufweist, fuhrt, als 
auch die in den Sensordaten enthaltene Kennung laufender 
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Tests die ebenso aber unabhangig zur Sperrung der 
Minusendstufen fiihrt. 

Die parallelen Leitungen, die vom Sicherheitsschalter 5 zur 
Zeiteinheit 6 ftihren, weisen zwei Freigabeleitungen auf, die 
generelle Freigabeleitungen sind, wobei die eine fur die 
Plusendstufen verwendet wird und die zweite fur die 
Minusendstufen. Dariiber hinaus weisen die parallelen 
Leitungen vom Sicherheitsschalter 5 zur Zeiteinheit 6 
Gruppenleitungen auf, die fur die jeweiligen Gruppen von 
Ruckhaltemitteln zur Freigabe verwendbar sind. 
Beispielsweise fur die, die in Fahrtrichtung eingesetzt 
werden. Entsprechende Leitungen fuhren dann von der 
Zeiteinheit 6 zur Ziindkreisansteuerung 7. Die Zeiteinheit 6 
gibt im AuslGsefall die Endstufen 8 far eine Zeit von 
einigen zehn Millisekunden frei. 

Figur 2 zeigt einen Ubertragungsrahmen. Teil a wird von dem 
Prozessor 4 an die Sensoren 1, 2 und 3 ubertragen. Dieser 
weist eine 16 Bit-Botschaf t auf , die einen Befehl 13 
aufweist, den die Sensoren mit Sensordaten beantworten. Fig. 
2 zeigt weiterhin den Teil b des Ubertragungsrahmens, den 
die Sensoren 1, 2 und 3 zeitgleich zum Teil a an den 
Prozessor 4 und den Sicherheitsschalter 5 zuriickubertragen, 
der ein Feld 11 fur die Zusatzinf ormationen und ein Feld 12 
fur die eigentlichen Sensorsignale aufweist. Der 
Sicherheitsschalter 5 und der Prozessor 4 synchronisieren 
sich auf diese Rahmen, um dann die einzelnen Daten 
entsprechend auslesen zu konnen. Dies wird IN-Frame-Response 
genannt . 

Im Folgenden werden noch einmal verschiedene Ereignisse 
beschrieben und zu welchen Sperrungen der Endstufen 8 dies 
jeweils fiihrt. Befindet sich der Watchdog im 
Sicherheitsschalter 5 in einer Sperrphase, d.h. der Watchdog 
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wurde nicht richtig bedient und sperrt fur eine vorgegebene 
Zeit, oder lauft ein Sensortest, es ist aber noch kein 
signifikantes Signal empfangen worden, werden alle Plus- und 
alle Minusendstufen und alle Zundmittelgruppen auf 
Sperrungen geschaltet. Befindet sich jedoch der Watchdog im 
Sicherheitsschalter 5 nicht in einer Sperrphase, und es 
wurde kein signifikantes Sensorsignal von einem der Sensoren 
1, 2 und 3 empfangen, werden alle Plusendstufen gesperrt, 
aber alle Minusendstufen werden freigegeben, urn einen Test 
der Minusendstufen gegebenenf alls durchzuf iihren . Es werden 
jedoch alle Zundmittelgruppen gesperrt. Befindet sich nun 
der Watchdog im Sicherheitsschalter 5 nicht in der 
Sperrphase, und es lauft ein Sensortest und ein 
signifikantes Signal wurde beispielsweise von dem Sensor 1 
empfangen, dann werden alle Plusendstufen freigegeben, so 
dass ein Test der Plusendstufen moglich ist, aber alle 
Minusendstufen gesperrt werden. Die Zundmittel in 
Fahrtrichtung werden jedoch freigegeben. Befindet sich der 
Watchdog im Sicherheitsschalter 5 nicht in einer Sperrphase 
und der Sensortest lauft und ein signifikantes Signal wurde 
empfangen, aber nicht vom Sensor 1, dann werden alle 
Plusendstufen freigegeben, so dass ein Test der 
Plusendstufen moglich ist und wiederum werden alle 
Minusendstufen gesperrt und auch die Ztindmittel in 
Fahrtrichtung werden gesperrt. 

Befindet sich der Watchdog im Sicherheitsschalter 5 nicht in 
der Sperrphase, und es wird kein Sensortest durchgefuhrt und 
ein signifikantes Signal wurde vom Sensor 1 empfangen, dann 
werden alle Plusendstufen und auch alle Minusendstufen 
freigegeben, so dass Feuerbereitschaf t vorliegt, und es 
werden die entsprechenden Zundmittel in Fahrtrichtung 
freigegeben, so dass eine Zundung der Airbags moglich wird. 
Befindet sich der Watchdog im Sicherheitsschalter 5 nicht in 
der Sperrphase, und es erfolgt kein Sensortest und ein 
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signifikantes Signal wurde empfangen, jedoch nicht vom 
Sensor 1, dann werden alle Plusendstufen und alle 
Minusendstufen freigegeben, es besteht Feuerbereitschaf t, 
aber die Zundmittel in Fahrtrichtung werden gesperrt. 
Signifikantes Signal bedeutet hier, dass ein Signal 
vorliegt, das durch den Hardware-Algorithmus des 
Sicherheitsschalters 5 berechnet und mit den Schwellen 
bewertet einen Ausldsefall . anzeigt . 
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Anspriiche 

1. Steuergerat fur ein Ruckhaltesystem in einem 
Kraftfahrzeug, wobei das Steuergerat (10) einen Prozessor 

(4) und einen Sicherheitsschalter (5) aufweist, wobei der 
Prozessor (4) mit Sensoren (1, 2, 3) zur Aufprallsensierung 
und mit Endstufen (8) zur Ansteuerung des Ruckhaltesystems 
verbincibar ist, wobei die Sensoren gegebenenf alls einen 
Aufprall des Kraftf ahrzeugs sensieren, dadurch 
gekennzeichnet, dass der Sicherheitsschalter (5) mit den 
Sensoren (1, 2, 3) zur Plausibilitatsuberpriifung der 
Sensorsignale und mit einer Zeiteinheit (6) zur Freigabe der 
Endstufen (8) von Ziindkreisen (9) in Abhangigkeit von den 
Sensorsignalen verbindbar ist, wobei der Sicherheitsschalter 

(5) Mittel zur Auswertung der Sensorsignale aufweist und die 
Zeiteinheit (6) die Endstufen (8) fur eine vorgegebene Zeit 
freigibt . 

2. Steuergerat nach Anspruch 1, dadurch gekennzeichnet, dass 
der Sicherheitsschalter (5) Zusatzinformationen aus den 
Sensorsignalen entnimmt und in Abhangigkeit von den 
Zusatzinformationen die Sensorsignale verarbeitet. 

3. Steuergerat nach Anspruch 1 Oder 2, dadurch 
gekennzeichnet, dass der Sicherheitsschalter (5) den 
jeweiligen Sensoren (1, 2, 3) zugeordnete Endstufen (8) 
freigibt, 

4. Steuergerat nach Anspruch 1, 2 oder 3, dadurch 
gekennzeichnet, dass der Prozessor (4) beim Einschalten des 
Steuergerats (10) einen Test des Sicherheitsschalters (5) 
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durch Erzeugen eines Testsignals der Sensoren (1, 2, 3) 
durchfuhrt . 

5. Steuergerat nach einem der vorhergehenden Anspruche, 

5 dadurch gekennzeichnet, dass der Sicherheitsschalter (5) mit 

den Endstufen (8) uber die Zeiteinheit (6) uber zwei 
Freigabeleitungen jeweils mit alien Plusendstuf en und alien 
Minusendstufen und mit weiteren Gruppenleitungen mit den 
Endstufen (8) von ZUndmittelgruppen verbindbar ist. 

0 

6. Steuergerat nach Anspruch 4 oder 5, dadurch 
gekennzeichnet, dass wahrend des Tests zumindest die Plus- 
oder Minusendstufe der Endstufen (8) sperrbar ist. 
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